Elementor Pro, WordPressi populaarne lehekujunduse plugin ehk pistikprogramm, sisaldab kriitilist turvanõrkust, mida kasutatakse juba rünnetes ära. Turvaettevõte Wordfence teatas 2. septembril, et on tõrjunud üle 190 000 ründekatse. Ohus on lehed, mille vormi kaudu saab faili üles laadida.
Mis juhtus?
Turvanõrkuse tähis on CVE-2026-32475. Turvaettevõte Patchstack avalikustas selle 19. augustil ja samal päeval ilmus parandus, Elementor Pro 4.2.2. Haavatavad on kõik versioonid kuni 4.2.1.
Viga on vormi failivälja kontrollis. Kui ründaja saadab samasse failivälja korraga tühja kirje ja PHP-faili, jääb faili tüübi kontroll vahele. Fail salvestub serverisse ja seda saab käivitada nagu lehe enda koodi. Nii saab võõras inimene ilma sisse logimata teie serveris käske käivitada ja lehe üle võtta.
Raskusastet hinnatakse veidi erinevalt, kuid kriitiliseks peavad viga kõik. Patchstacki hinnang on 9,0 punkti 10-st (CVSS v3.1), Wordfence’il 9,8.
Millal rünnakud algasid?
Wordfence’i andmetel algasid rünnakud juba 19. augustil ehk samal päeval, kui parandus ilmus. Kõige rohkem katseid oli 19.–23. augustil. Veel 20. augustil ei olnud BleepingComputeri teatel rünnakuid täheldatud. Avalikuks sai aktiivne ärakasutamine alles 2. septembril.
See tähendab, et leht, mida augustis ei uuendatud, on olnud ohus juba kaks nädalat. Seetõttu ei piisa praegu ainult uuendamisest – tuleb ka kontrollida, kas keegi on vahepeal sisse saanud.
Kas teie veebileht on ohus?
Elementor Pro on tööriist lehtede ja vormide kujundamiseks. Wordfence’i andmetel on sellel üle 6 miljoni aktiivse paigalduse.
Ründaja vajab lehte, kus on avaldatud Elementor Pro vorm faili üleslaadimise väljaga. Selliseid vorme kasutatakse näiteks CV, joonise või foto saatmiseks. Vormi tunnused on lehe avalikus koodis näha, nii et ründaja ei pea midagi ära arvama.
Tingimusi kirjeldavad allikad erinevalt. Wordfence’i järgi piisab ühest failiväljast, mis ei ole kohustuslik, ja vaikimisi kohustuslik see ei olegi. Elementori teatel, mida vahendas 20. augustil BleepingComputer, on ohus ainult vormid, kus on lubatud mitme faili üleslaadimine, ja see valik on vaikimisi välja lülitatud. Kui teie lehel on failiväljaga vorm, eeldage igal juhul, et leht on ohus.
Mida teha?
- Uuendage Elementor Pro versioonile 4.2.2 või uuemale. Kontrollige ka litsentsi kehtivust, sest aegunud litsentsiga Pro-plugin ei pruugi uuendusi automaatselt saada.
- Laske kontrollida vormide kausta. Kaustas
/wp-content/uploads/elementor/forms/ei tohi olla ühtegi PHP-faili. Wordfence’i sõnul on iga selline fail tugev märk, et leht on üle võetud. - Paluge majutusteenuse pakkujal keelata PHP-failide käivitamine üleslaaditud failide kaustas. Nii ei saa sinna sokutatud faili käivitada ka siis, kui mõni järgmine viga selle sinna laseb.
- Laske IT-partneril logid üle vaadata. Wordfence avaldas ründajate IP-aadresside nimekirja ja kirjeldas kahtlaseid päringuid, mida saab oma serveri logidega võrrelda.
- Kui leiate kahtlase faili, ärge piirduge selle kustutamisega. Ründaja võis jätta lehele ka teisi tagauksi. Taastage leht puhtast varukoopiast ja vahetage halduskeskkonna paroolid. Sissemurdmisest saab teatada CERT-EE-le aadressil cert@cert.ee. Kui vormi kaudu saadetud CV-d või muud isikuandmed võisid võõrastesse kätesse sattuda, võib tekkida kohustus teavitada Andmekaitse Inspektsiooni hiljemalt 72 tundi pärast rikkumisest teada saamist. Esimesed sammud leiate juhtumi lehelt.
Kui te ei tea, millised pluginad ja versioonid teie lehel töötavad, selgitab veebilehe turvakontroll selle välja.
Allikad
- Wordfence: Attackers Actively Exploiting Critical Vulnerability in Elementor Pro Plugin
- Patchstack: Critical Unauthenticated File Upload to RCE in Elementor Pro Plugin
- NVD: CVE-2026-32475
- BleepingComputer: Critical Elementor Pro bug exposes WordPress sites to RCE attacks
Postituse koostamisel kasutasime tehisintellekti. Faktid põhinevad allpool loetletud allikatel ja on kirjutatud uudise ilmumise päeva teadmiste põhjal. Kuidas me tehisintellekti kasutame.
